co I dati rumorosi riducono la probabilità di deduzione, di individuazione (seppur
CAPITOLO 4 V ERSO LA P RIVACY 2.0:
NUOVISCENARIDIRISCHIOENUOVESEMANTICHE
SOMMARIO: 1. Gli scenari ed alcuni esempi di rischio in contesti di forte
inferenza informativa. – 1.1. “Internet of Things”. – 1.2. Apps per smart-devices. – 1.3. “Big Data” e Data Mining. – 1.4. Realtà aumentata e Data Accretion. – 2. Le nuove forme di vulnerabilità e di rischio per la protezione dei dati personali. – 2.1. Asimmetria Informativa. Dispersione del controllo sui dati personali. Perdita di qualità del consenso. – 2.2. Difetto di trasparenza. Eccesso di dati personali. Molteplicità delle finalità. – 2.3. Eccesso di esposizione dell'utente. Deduzione invasiva di profili. – 2.4. Difetto di Privacy by Design/Default. Pluralità dei titolari di trattamento. – 3. La garanzia di qualità dei dati e le nuove tipologie di rischio per la Privacy. – 4. Le nuove proprietà del Dato Personale. – 4.1. Proprietà e possesso del Dato Personale. Personal Data Store. 4.2. I dati personali a soggetti multipli. Multiple Subjects Personal Data. – 4.3. Il valore economico dei Dati Personali e della Privacy.
1. GLI SCENARI ED ALCUNI ESEMPI DI RISCHIO IN CONTESTI DI FORTE INFERENZA
INFORMATIVA.
Nella prima parte di questo capitolo verranno illustrati quattro scenari informazionali distinti da una massiva produzione e un pervasivo scambio di dati; dati che possono essere creati e rilasciati volontariamente dagli utenti (soggetti interessati o altri attori), prodotti involontariamente da non-utenti, oppure generati da cose; acceduti o archiviati su dispositivi. Questi volumi di dati potranno quindi essere raccolti e trasferiti in piattaforme Cloud, (ri)allocati e (ri)utilizzati; processati - attraverso algoritmi di analisi predittive incrociate (quantitative e qualitative) e da sistemi applicativi di find engine240, per produrre inferenza e ulteriore informazione volta ad collegare dati e relazionare fenomeni; aumentare e migliorare la realtà. Tutto ciò espone agli utenti una personalizzazione che può essere foriera di vantaggi: servizi a valore aggiunto (più efficienti e meno costosi) migliorativi della user-experience in svariati e molteplici possibili ambiti241; ma anche di possibili svantaggi: esposizioni
240 Nella parte dell'elaborato che segue, l'espressione find engine indicherà l'insieme di applicazioni collocate generalmente in
cloud che in risposta a specifiche richieste degli utenti, aggregano processano grandi volumi di dati per analizzarne gli
attributi descrittivi (qualitativi e quantitativi) mediante algoritmi di definizione ed estrazione di attributi (tra gli altri: data
mining, machine learning, hashing, crowdsourcing), al fine di estrarre collegamenti, effettuare analisi predittive, relazionare
specifici fenomeni.
Un tipica applicazione di find engine è il motore di ricerca.
241 In argomento per i possibili esempi si rimanda al capitolo 2 -.Privacy e Protezione dei Dati personali: pluralità semantiche e
informazionali inattese, indesiderate, fastidiose, non autorizzate o al limite pericolose.
I contesti disaminati sono: Internet of Things, App per smart-devices, “Big Data" e Data Mining, Realtà Aumentata e Data Accretion. Ognuno di essi viene preliminarmente descritto nelle sue caratteristiche tecniche e con l'ausilio di alcuni esempi viene evidenziato come e in quale misura i dati personali incidono sulla loro configurazione e sul loro funzionamento. Viceversa, in ragione del fatto che ognuno di questi scenari implica il trattamento di dati personali, saranno attenzionati i seguenti elementi comuni: i) l'individuazione della base giuridica; ii) la connotazione al ruolo di titolare e di responsabile degli attori coinvolti, oltre al soggetto interessato (c.d filiera dei portatori di interessi); iii) le nuove forme di vulnerabilità e di rischio, presupposti di successive violazioni per i dati personali.
Quanto al primo punto, il diritto applicabile è rappresentato da due atti regolatori: il nuovo regolamento europeo per la protezione dei dati personali 679/2016, in particolare nelle parti in cui regola: la definizione di dato personale242; l'ambito territoriale del trattamento243; i principi di protezione dei dati personali (qualità, minimizzazione e finalità)244; i requisiti di legittimità del trattamento (in cui sussistano e siano rispettate le condizioni di consenso, finalizzazione di obblighi contrattuali, il legittimo interesse, l'esecuzione di un compito di interesse pubblico o l'esercizio di pubblici poteri)245; la garanzia per il soggetto interessato di esercitare i propri diritti (trasparenza, accesso, rettifica, cancellazione, opposizione al trattamento, portabilità)246,247.
In aggiunta al GDPR si colloca la Direttiva e-privacy 2002/58/CE248 modificata dalla Direttiva 2009/136/CE. In particolare, per l'attinenza regolatoria dei trattamenti posti in essere in ambito IoT e Apps, occorre richiamarne il considerando 24) che recita:
<Le apparecchiature terminali degli utenti di reti di comunicazione elettronica e qualsiasi informazione archiviata in tali apparecchiature fanno parte della sfera privata dell'utente, che deve essere tutelata ai sensi della convenzione europea per la protezione dei diritti dell'uomo e delle libertà fondamentali>
242 Cfr GDPR Art. 4 Definizioni, comma 1); 243 Cfr GDPR Art. 3 Ambito di applicazione territoriale;
244 Cfr GDPR Art. 5 Principi applicabili al trattamento di dati personali; 245 Cfr GDPR Art. 6 Liceità del trattamento; Art. 7 Condizioni per il consenso
246 Cfr GDPR Capo III Diritti dell'Interessato art. 12, 13, 14 - Informazioni, comunicazioni e modalità trasparenti per l'esercizio dei diritti
dell'interessato; art. 15 Diritto di accesso dell'interessato; art. 16 Diritto di rettifica; art. 17 Diritto alla cancellazione («diritto all'oblio»);
art. 18 Diritto di limitazione di trattamento; art. 20 Diritto alla portabilità dei dati; art. 21, 22 Diritto di opposizione.
247 Per il dettaglio degli elementi elencati si rimanda al capitolo 1 – Lo scenario normativo attuale. Questioni aperte; Paragrafi 3 - Il
Regolamento Generale sulla protezione dei dati (UE) 2016/679: le principali novità. Paragrafo 4 - Il Regolamento Generale sulla protezione dei dati (UE) 2016/679: il soggetto interessato e il dato personale.
248 Direttiva 2002/58/CE del Parlamento Europeo e del Consiglio, 12 Luglio 2002, relativa al trattamento dei dati personali e alla
tutela della vita privata nel settore delle comunicazioni elettroniche (Direttiva relativa alla vita privata e alle comunicazioni elettroniche) - L
e l'art. 5, paragrafo 3) che – con riferimento a tutte le informazioni anche non personali, recita: <l'archiviazione di informazioni oppure l'accesso a informazioni già archiviate nell'apparecchiatura terminale di un abbonato o di un utente sia consentito unicamente a condizione che l'abbonato o l'utente in questione abbia espresso preliminarmente il proprio consenso, dopo essere stato informato in modo chiaro e completo, a norma della direttiva 95/46/CE, tra l'altro sugli scopi del trattamento>, <...>.
Quanto al secondo punto ogni attore componente la filiera dei portatori di interesse249 può essere considerato titolare o responsabile del trattamento dei dati personali nella misura in cui autonomamente definisce gestisce le regole e gli algoritmi di processamento delle informazioni, i mezzi e le finalità di trattamento per scambiare, interconnettere, (ri)allocare e (ri)utilizzare i dati trattati (iniziali e ricavati) in relazione agli usi e agli scopi (principali e secondari).
Il GDPR impone ai (con)titolari del trattamento (e ai responsabili) di adottare le misure tecniche e organizzative per garantire e comprovare la conformità al regolamento e l'efficace attuazione dei principi di protezione dei dati rispetto ai quali si distinguono gli obblighi di trasparenza, liceità e mantenimento dei requisiti di qualità; ciò secondo un approccio pro- attivo di tipo by design /default che tenga conto – in fase di progettazione del trattamento stesso, della sua natura, dell'ambito di applicazione, del contesto, delle finalità, dei rischi e dell'impatto del trattamento sui diritti e le libertà delle persone250. Le decisioni assunte dal titolare e dal responsabile devono essere proporzionate tanto al rischio (prima) tanto al danno (dopo).
Il principio di accountability che il GDPR pone in capo al titolare e al responsabile, attiene non solo l'autodeterminazione delle politiche del trattamento ma anche la gestione delle conseguenze dello stesso in caso di violazioni sui dati personali; impone ad entrambi oltre a una valutazione ex ante di impatto e di rischio anche una valutazione prudenziale ex post - a violazione avvenuta, volta ad analizzarne la gravità, quindi eventualmente ad attuare gli obblighi di comunicazione e di notifica diversificandone l'attore destinatario: verso l'Autorità Garante Nazionale o Europea (in caso di trattamenti transnazionali) oppure verso il soggetto interessato nel caso in cui la gravità della violazione sia tale da generare conseguenze misurabili e dirette sui diritti e le libertà della persona.
249 La filiera dei portatori di interesse comprende almeno: i fabbricanti di dispositivi, gli sviluppatori di sistemi operativi e di
applicazioni, i gestori di piattaforme di dati o degli app store, i noleggiatori/noleggianti di dispositivi; terze parti quali, ad esempio, gestori di piattaforme sociali o applicazioni cloud per l'hosting e l'analisi dei dati raccolti; organismi regolatori di normazione.
250 Cfr GDPR Art. 24 Responsabilità del titolare del trattamento; Art. 25 Protezione dei dati fin dalla progettazione e protezione per
impostazione predefinita; Art. 28 Responsabile del trattamento; Art. 32 Sicurezza del trattamento; Art. 35 Valutazione d'impatto sulla protezione dei dati; Art. 37, 38, 39 Designazione, posizione e compiti del responsabile per la protezione dei dati personali.
Il terzo punto riveste la parte più importante del capitolo oltre ad essere centrale per l'elaborato stesso; in dettaglio è trattata al paragrafo 2 - Le nuove forme di vulnerabilità e di rischio per la protezione dei dati personali. Essa trae origine ed è stata sviluppata sulla seguente considerazione: i quattro contesti informazionali di seguito disaminati concorrono di fatto – seppur con forme e approcci implementativi diversi, ad avviare e mantenere il c.d. schema di trattamento Big Data; esso si basa sulla produzione massiva di volumi di dati e dal successivo arricchimento qualitativo e quantitativo per il tramite di attributi descrittivi che, analizzati, ne aumentano la sfera di significato, di influenza e di sovrapponibilità semantica con quella di altri dati. L'attore che determina le relazione tra i dati sulla base della loro quantità, tipologia, rilevanza e pertinenza è un artefatto algoritmico251, il cui utilizzo e gestione sono prerogativa del titolare del trattamento. Algoritmo e titolare rappresentano, quindi, un sistema che media tra i dati e l'utente; tra il valore e le caratteristiche delle informazioni e l'utilizzo che ne richiede il soggetto interessato in termini servizi, applicazioni e comunicazione.
Le criticità sorgono quando questa mediazione non è asettica, quando non si mantiene trasparente e neutrale disattendendo le aspettative e le richieste dei soggetti interessati; quando – senza che il soggetto interessato sia stato informato, sia consapevole o abbia nello specifico acconsentito, le sfere di pertinenza dei dati (in quanto tali) si sovrappongono, collidono o peggio sostituiscono l'ambito privato, le cose appartenenti alla persona o le informazioni rilasciate da questa in altri contesti .
Le vulnerabilità si delineano quando il risultato dell'algoritmo (find engine) interseca descrittori per trovare nuove relazioni e quindi nuovi dati attinenti l'identità, le abitudini, gli amici, gli interessi, i luoghi di una persona; la sua salute o la sua sicurezza senza che questo rientri nelle aspettative degli utenti, prevalga sulla loro autodeterminazione o sia loro omesso.
I rischi si configurano nel momento stesso in cui degenera il carico informativo tra il find engine (l'algoritmo) e la persona, il consenso rilasciato da quest'ultima perde di efficacia, il trattamento che ne consegue diventa sconosciuto, indesiderato, fastidioso, discriminatorio comunque dannoso per il soggetto interessato; il dato personale totalmente fuori controllo.
La violazione trova attuazione quando si passa da un pericolo eventuale ad un pericolo certo o avvenuto che si misura nell'accadimento del furto, della perdita, della modifica o comunque dell'utilizzo illecito delle informazioni personali: oramai il danno è fatto, vulnerabilità e rischio permangono a monte.
251 Questa espressione racchiude l'insieme delle tecniche, delle metodologie e delle regole statistiche, nonché le applicazioni
che su queste si basano per analizzare le caratteristiche quantitative e qualitative dei dati, processare gli attributi descrittivi al fine di estrarne di nuovi in esito a specifiche richieste. Si citano ad esempio le applicazioni di find engine; gli algoritmi di data mining, di machine learning, di crowdsourcing, di hashing, di classificazione semantica.